CVE-2026-111708

🎯 CVE-2026-111708 🧪 PoC 🇪🇺 EUVD

💬 0 Diskussion 📄 .md Alle CVEs anzeigen ✕

CVE-2026-111708 | WhaTicket Community through commit cf04795 contains an authentication bypass vulnerability that allows unauthenticated attackers to self-register as administrators via POST /auth/signup. Attackers can omit the profile field or set it to admin, gaining user management, settings, and access to all tickets, contacts, messages, and WhatsApp connections.

WhaTicket Community through commit cf04795 contains an authentication bypass vulnerability that allows unauthenticated attackers to self-register as administrators via POST /auth/signup. Attackers can omit the profile field or set it to admin, gaining user management, settings, and access to all tickets, contacts, messages, and WhatsApp connections.

Klassifikation & Betroffenheit:

CWE-269 canove whaticket-community 0 ≤cf047955a6f0d07002ed89c67d765c28d06f8d52

Improper Privilege Management 🎯 Medium

The product does not properly assign, modify, track, or check privileges for an actor, creating an unintended sphere of control for that actor.

🛡️ Empfohlene Mitigation: Very carefully manage the setting, management, and handling of privileges. Explicitly manage trust zones in the software.

Vollständige Definition bei MITRE ➔

⚔️ Typische Angriffsmuster (CAPEC):

CAPEC-58 · Restful Privilege Elevation (High) CAPEC-122 · Privilege Abuse (Medium) CAPEC-233 · Privilege Escalation

🎯 ATT&CK-Techniken (Kill-Chain-Verhalten):

T1548 · Abuse Elevation Control Mechanism

🧩 Ähnliche Schwachstellen (Hersteller/Klasse/Score-Band):

CVE-2026-60366 10.0 CVE-2026-0063 10.0 CVE-2026-32760 10.0 CVE-2026-31852 10.0 CVE-2026-22039 10.0

📚 Referenzen & Quellen:

🇪🇺 Original-Eintrag (ENISA EUVD) 🇺🇸 NVD-Eintrag

Ausnutzungs-Zeitleiste:

Reserviert 2026

Veröffentlicht 10/2026

Heute 09.11.

CVSS-Vektor-Analyse: 9.3

AV · Angriffsvektor Netzwerk

AC · Komplexität Gering

PR · Privilegien Keine

UI · Interaktion Keine

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CNA-Bewertung (VulnCheck): 9.3 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA…

Veröffentlicht:16.10.2026

Aktualisiert:16.10.2026 20:17

Assigner (CNA):VulnCheck

EUVD-ID:EUVD-2026-103000

Quellen: 🇪🇺 EUVD-Datenbank (ENISA) + 🇺🇸 NVD-Anreicherung · 24-h-Cache

CWE-269 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

Tier	CVEs	Anteil
≥90 %	785	0,2 %
≥50 %	3.559	0,9 %
≥10 %	13.139	3,2 %
<10 %	396.072	95,8 %

Tier

CVEs

Anteil

≥90 %

785

0,2 %

≥50 %

3.559

0,9 %

≥10 %

13.139

3,2 %

<10 %

396.072

95,8 %

Datenquellen & Methodik: Primärquelle ist die EUVD der ENISA (laufender Datenbank-Sync, alle 15 Minuten), abgeglichen mit dem CISA-KEV-Katalog und der NVD — Detail-Dossiers reichern fehlende Felder live per NVD an — mit Fallback auf CIRCL vulnerability-lookup (EU/Non-Profit, aggregiert CVE-, GitHub- und OSV-Advisories). Der CISA-KEV-Katalog (Known Exploited Vulnerabilities, ~1.700 aktiv ausgenutzte Schwachstellen) wird bei jedem Sync vollständig neu geladen und kreuzreferenziert — filterbar über die KEV-Pille. CVSS 3.1 wird nach Ampel-Logik aus Verteidigersicht dekodiert; EPSS bezeichnet die 30-Tage-Exploit-Wahrscheinlichkeit (FIRST.org).

🇪🇺 ENISA EUVD 🇺🇸 NVD ⚠️ CISA KEV ⚡ EPSS

9.3 CRITICAL

EPSS

0.6%

CVE-2026-111708 🌐 Netzwerk (Remote) 🔓 Keine Authentifizierung nötig

canove

CVE-2026-111708 | WhaTicket Community through commit cf04795 contains an authentication bypass vulnerability that allows unauthenticated attackers to self-register as administrators via POST /auth/signup. Attackers can omit the profile field or set it to admin, gaining user management, settings, and access to all tickets, contacts, messages, and WhatsApp connections.

CWE-269 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

vor 23 Tagen ↻ vor 23 Tagen

🛡️ Details ➔

Zero-Day & Vulnerability Intelligence Hub